Terrorisme dossiers van Europol uitgelekt

Ruim 700 pagina’s vertrouwelijke politiedossiers over terrorisme zijn gedurende langere tijd voor iedereen toegankelijk geweest via internet. In de documenten van Europol worden 54 Europese terrorisme-onderzoeken genoemd. ZEMBLA vond de stukken op een back-up schijf die onbeveiligd met internet was verbonden. Europol geeft de fout toe, noemt het "een zeer ernstig incident" en heeft onderzoek gedaan in 8 Europese lidstaten naar de mogelijke gevolgen van het lek.

ZEMBLA, woensdag 30 november om 21.15 uur bij de VARA op NPO 2.

Europol is een samenwerkingsverband tussen de politiediensten van de Europese Unie en heeft zijn hoofdkantoor in Den Haag. De bestanden zijn door een medewerkster van de Nationale Politie, die tot begin dit jaar bij Europol werkte, tegen de regels vanuit het hoofdkantoor meegenomen naar huis. Vervolgens maakte zij een back-up van de documenten op een privé iOmega netwerkschijf, een harddisk die zonder wachtwoord met internet was verbonden. “Dit raakt de vertrouwelijkheid en dat is ook de reden dat we meteen een onderzoek hebben ingesteld, om te kijken hoe dit heeft kunnen gebeuren”, aldus Wil van Gemert, adjunct-directeur van Europol.

Computerexpert Ronald Prins van beveiligingsbedrijf FOX-IT noemt het datalek “een ramp”.

“Het is verschrikkelijk. Er wordt ontzettend hard gewerkt door al die mensen om dit soort informatie te verzamelen, er wordt heel veel geld uitgegeven aan procedures, apparatuur en trainingen, om te zorgen dat dit soort dingen niet op straat komen”.

De documenten, die zijn voorzien van meerdere geheimhoudingskenmerken, bevatten analyses van terroristische groepen en honderden namen en telefoonnummers van mensen die met terrorisme in verband worden gebracht. Het betreft voornamelijk documenten uit de periode 2006 tot 2008, waaronder analyses van de Hofstadgroep, de bomaanslagen in Madrid en verijdelde aanslagen op vliegtuigen met vloeibare explosieven. Maar er worden ook tal van terrorisme-onderzoeken genoemd die nooit in de openbaarheid zijn gekomen.

Volgens Europol heeft het datalek geen gevolgen voor lopende terrorisme-onderzoeken, maar kan de organisatie niet uitsluiten dat behalve ZEMBLA ook anderen toegang tot de netwerkschijf hebben gehad. Adjunct-directeur Wil van Gemert van Europol: “Ik acht het niet waarschijnlijk gezien het onderzoek dat we hebben gedaan, maar ik kan het ook niet voor honderd procent uitsluiten”.

Ook is het volgens Europol mogelijk dat mensen die in de stukken worden genoemd nog steeds onderwerp van onderzoek zijn. “Het is inderdaad zo dat mensen in de terroristische scene langdurig onderdeel van onderzoek kunnen zijn. Het feit dat ze tien jaar geleden onderdeel van een onderzoek waren, kan nog steeds betekenen dat ze ook nu nog onderdeel van een onderzoek zijn”, aldus Van Gemert. Om geen terrorisme-onderzoeken in gevaar te brengen zal ZEMBLA de stukken niet integraal openbaar maken en geen namen van verdachten noemen.

Hoogleraar computerveiligheid Herbert Bos van de Vrije Universiteit noemt in ZEMBLA het datalek “een gigantische blunder”. “Als iemand zulke gevoelige informatie op een slecht beveiligd apparaat zet, dat gewoon thuis staat, dat kan natuurlijk niet”. Volgens terrorisme-deskundige Jelle van Buuren van de Universiteit Leiden kan het datalek mogelijk gevolgen hebben voor de informatievoorziening aan Europol. “Politiediensten die al terughoudend zijn, zouden dit incident kunnen aangrijpen om geen gevoelige informatie aan Europol te geven, want Europol weet blijkbaar niet hoe ze die informatie goed moeten afschermen”.

Lenovo, eigenaar van het merk iOmega, zegt in een reactie dat het beveiligen van de netwerkschijven een eigen verantwoordelijkheid van gebruikers is. “Je moet ook je WiFi van een wachtwoord voorzien en je auto op slot zetten”, aldus woordvoerder Carina van Vlerken. De iOmega netwerkschijven zijn tussen 2009 en 2015 geproduceerd. Alleen in het laatste jaar dat de apparaten werden gemaakt, was het instellen van een wachtwoord verplicht.
Hoogleraar computerveiligheid Bos pleit in het programma voor nieuwe wetgeving, waardoor leveranciers aansprakelijk worden voor de beveiligingsproblematiek die hun apparaten hebben.